Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Come scrisse Rudolf von Jhering ne La lotta per il diritto, «il diritto non è un concetto logico ma una forza viva». Nelle prime 72 ore che seguono la scoperta di un data breach, questa affermazione assume un significato molto concreto: il diritto alla protezione dei dati diventa una forza che si esercita contro chi non sa gestire l'urgenza.
Il contesto è noto ma vale la pena inquadrarlo con precisione. L'articolo 33 del Regolamento UE 2016/679 (GDPR) impone al titolare del trattamento di notificare al Garante Privacy ogni violazione di dati personali che presenti un rischio per i diritti e le libertà degli interessati, entro 72 ore dal momento in cui ne è venuto a conoscenza. Non dalla data dell'incidente, non dal momento in cui il responsabile IT lo ha registrato nel sistema di ticketing: dal momento in cui il titolare — inteso come entità decisionale — ha avuto contezza dell'accaduto.
Questa distinzione, all'apparenza sottile, è la prima fonte di errore nelle aziende italiane.
Gli errori nelle prime 72 ore che il Garante sanziona più spesso
Il provvedimento del Garante Privacy n. 280/2026 ha sanzionato un'organizzazione per una doppia carenza: misure di sicurezza tecniche insufficienti e notifica tardiva. I due profili, nella prassi del Garante, si alimentano a vicenda: quando mancano strumenti di rilevamento adeguati (log di sistema incompleti, assenza di SIEM, mancata cifratura dei dati), il titolare "scopre" il breach con ritardo. Questo ritardo, però, non azzera il termine delle 72 ore, che decorre dal momento in cui il sistema avrebbe potuto — e dovuto — rilevare l'incidente se le misure di sicurezza fossero state adeguate.
È questo il punto che la prassi aziendale sottovaluta: il Garante non considera neutro il ritardo nella scoperta imputabile a carenze organizzative. Il principio che opera sullo sfondo è quello dell'actori incumbit probatio, rovesciato nella logica della responsabilizzazione (accountability) propria del GDPR: il titolare deve dimostrare di aver fatto tutto quanto necessario per rilevare tempestivamente l'incidente, non solo di averlo notificato una volta noto.
Il secondo errore frequente riguarda la valutazione del rischio. L'art. 33 GDPR prevede un'eccezione all'obbligo di notifica: se la violazione non presenta un rischio per i diritti e le libertà degli interessati, la notifica non è dovuta. Alcune organizzazioni usano questa valutazione come scappatoia, concludendo frettolosamente che l'incidente è "a basso rischio" per evitare la notifica. Il Garante ha contestato questa pratica in più provvedimenti: la valutazione del rischio deve essere documentata, motivata, coerente con il tipo di dati coinvolti, e deve tener conto del contesto reale — non essere un atto pro forma redatto a posteriori per giustificare l'omissione.
In questo quadro si inserisce il provvedimento n. 389 del 10 luglio 2025, con cui il Garante ha sanzionato Poste Vita S.p.A. con 80.000 euro proprio per notifica oltre il termine delle 72 ore. Il caso è istruttivo perché Poste Vita non aveva omesso del tutto la notifica: l'aveva effettuata in ritardo, ritenendo di aver bisogno di più tempo per completare l'analisi tecnica. Il Garante ha chiarito che il GDPR consente una notifica "in più fasi" (cosiddetta notifica preliminare seguita da integrazioni), ma non autorizza a posticipare l'invio iniziale in attesa di avere un quadro completo.
Il terzo errore — forse il meno intuitivo — è la mancata documentazione delle decisioni interne. L'art. 33, par. 5, GDPR impone al titolare di documentare qualsiasi violazione, incluse quelle per cui non è stata effettuata la notifica, con indicazione dei fatti, degli effetti e delle misure adottate. Il provvedimento n. 587/2025 relativo a Humanitas Mirasole ha reso evidente come la lacuna documentale trasformi un incidente gestibile in un aggravante: l'assenza di registri interni aggiornati, verbali di crisi, log delle decisioni prese rende impossibile al titolare dimostrare la propria diligenza.
Cosa fare concretamente nelle prime 72 ore: la sequenza corretta
La gestione di un data breach non è solo un problema tecnico: è un problema di governance. Nelle prime ore è essenziale attivare immediatamente il DPO (Data Protection Officer), ove nominato, o il referente privacy interno, e avviare la compilazione del registro interno della violazione. Questo documento deve includere: data e ora della scoperta, natura della violazione, categorie e numero approssimativo di interessati, categorie e numero approssimativo di record coinvolti, probabili conseguenze, misure adottate o proposte.
Parallelamente, va condotta una prima valutazione del rischio — non definitiva, ma sufficiente per decidere se notificare al Garante e se comunicare agli interessati. Attendere di avere certezze assolute prima di notificare è l'errore di Poste Vita: il GDPR accetta l'incertezza purché sia dichiarata. Una notifica preliminare che indica "i dati ancora in corso di verifica" è conforme; una notifica tardiva perché si aspettava la certezza non lo è.
Sul piano sanzionatorio, merita attenzione la pronuncia della Corte di Cassazione Civile, Sez. I, n. 984 del 17 gennaio 2026, che ha stabilito la perentorietà del termine di 120 giorni entro cui il Garante deve esercitare il proprio potere sanzionatorio. La pronuncia ha un doppio valore: da un lato tutela le organizzazioni da procedimenti dilatati nel tempo, dall'altro non riduce in alcun modo la gravità delle violazioni contestate entro quel termine. Non è, quindi, una porta di uscita per chi ha sbagliato: è una garanzia procedurale che non cancella la violazione sostanziale.
Un aspetto che la letteratura pratica trascura è il coordinamento con il responsabile del trattamento nei casi di outsourcing IT. L'art. 33, par. 2, GDPR stabilisce che il responsabile che viene a conoscenza di una violazione deve notificarla al titolare "senza ingiustificato ritardo". Se il contratto di servizi non prevede procedure di escalation chiare e tempestive, il rischio concreto è che la violazione venga scoperta dal fornitore esterno ma non comunicata al titolare in tempo utile per rispettare le 72 ore. La Garante ha già contestato questa situazione in sede di ispezione: il titolare non può addurre come giustificazione il ritardo del responsabile esterno se il contratto non prevedeva obblighi di notifica immediata.
La logica che emerge dai provvedimenti recenti è quella sintetizzata dal brocardo latino vigilantibus iura subveniunt: il diritto aiuta chi vigila. Il GDPR non richiede l'infallibilità tecnica — gli incidenti accadono — ma pretende che il titolare abbia predisposto un sistema di sorveglianza adeguato e reagisca con prontezza quando l'incidente si verifica.
Il dato complessivo che emerge dall'analisi dei provvedimenti del 2025 e del 2026 è che il Garante italiano si sta orientando verso un approccio bifasico: valuta non solo la violazione in sé, ma la qualità della risposta organizzativa. Un'azienda che notifica entro 72 ore, documenta le proprie decisioni, dimostra di aver mitigato il danno e collabora attivamente con l'Autorità ottiene trattamenti sanzionatori significativamente diversi rispetto a chi arriva in ritardo, con documentazione lacunosa, e mostra di non aver un processo strutturato di gestione degli incidenti. Questo orientamento — visibile anche nelle linee guida dell'European Data Protection Board — rende il data breach management non solo una questione di conformità formale, ma una competenza organizzativa che ha un impatto diretto sull'esposizione al rischio sanzionatorio.
Redazione - Staff Studio Legale MP
